Post on 26-Sep-2020
Building Automation Security
CLASSIFICATIE: OpenbaarKPN Managed Security Services
FHI 2018
1
The Cyber security landscape, current trends and
developments
Intro – Wie ben ik
Portfoliomanager Security @KPN
12Y ervaring in cybersecurity
Fox-IT
Nederlands Forensisch Instituut
TNO Defensie en Veiligheid
Passie voor technologie
MBA (deels Technische Informatica)
Intelligence, privacy
CLASSIFICATIETITEL VAN DE PRESENTATIE2
Vandaag: Building Automation Security
“Building automation systems en cybersecurity, moeten we ons zorgen
maken?”
Cybersecurity essentials
Wie zijn hackers?
Trends en ontwikkelingen in cybersecurity
Een BAS hack explained
Het cybersecurity landschap in Nederland
Samenvatting
CLASSIFICATIETITEL VAN DE PRESENTATIE3
Cybersecurity essentials
CLASSIFICATIETITEL VAN DE PRESENTATIE4
Wat zijn essentials?
“Cybersecurity is het vrij zijn van gevaar of schade veroorzaakt door
verstoring of uitval van ICT of door misbruik van ICT. Het gevaar of de
schade door misbruik, verstoring of uitval kan bestaan uit beperking van de
beschikbaarheid en betrouwbaarheid van de ICT, schending van de
vertrouwelijkheid van de ICT opgeslagen informatie of schade aan de
integriteit van die informatie”
Beschikbaarheid – betrouwbaarheid – vertrouwelijkheid - integriteit
CLASSIFICATIETITEL VAN DE PRESENTATIE5
CLASSIFICATIETITEL VAN DE PRESENTATIE6
CLASSIFICATIETITEL VAN DE PRESENTATIE7
Waarom cybersecurity?
Don’t argue with idiots….
Cybersecurity en building automation systems (I)
2.7 miljard apparaten zijn gekoppeld in smart buildings ter verbetering van
operationale efficiency, veiligheid, comfort en functionaliteit.
2015 : 84% BAS-exploitanten maakt gebruik van op internet aangesloten
systemen. > 70% verleent remote access aan vendoren.
2015 : 29% BAS-exploitanten neemt cybersecurity maatregelen.
2018 : Gartner voorspelt dat 20% van alle smart buildings zal last hebben
gehad van digitaal vandalisme.
CLASSIFICATIETITEL VAN DE PRESENTATIE8
CLASSIFICATIETITEL VAN DE PRESENTATIE9
Waarom cybersecurity?
Een wereld te winnen….
Wie zijn hackers
CLASSIFICATIETITEL VAN DE PRESENTATIE10
CLASSIFICATIETITEL VAN DE PRESENTATIE11
CLASSIFICATIETITEL VAN DE PRESENTATIE12
CLASSIFICATIETITEL VAN DE PRESENTATIE13
CLASSIFICATIETITEL VAN DE PRESENTATIE14
CLASSIFICATIETITEL VAN DE PRESENTATIE15
Wie zijn hackers?
Journalisten
Statelijke actoren
Hacktivisten / white-hat hackers
Scriptkiddies
Concurrenten
Criminelen
CLASSIFICATIETITEL VAN DE PRESENTATIE16
Maar dreigingen kunnen ook komen van…..
Ontevreden medewerkers
Fraudeleuze medewerkers
Ingehuurd personeel
Leveranciers
Business partners
Supertargets
Trends en ontwikkelingen
CLASSIFICATIETITEL VAN DE PRESENTATIE17
CLASSIFICATIETITEL VAN DE PRESENTATIE18
CLASSIFICATIETITEL VAN DE PRESENTATIE19
CLASSIFICATIETITEL VAN DE PRESENTATIE20
CLASSIFICATIETITEL VAN DE PRESENTATIE21
Cybercrime te koop…
CLASSIFICATIETITEL VAN DE PRESENTATIE22
Cybercrime als een RaaS en een CaaS model
CLASSIFICATIETITEL VAN DE PRESENTATIE23
Cybercrime as a service
Rent-a-hacker
Aanbod van diverse services
DDOS
Malware
Ransomware
Trojans, worms etc.
Afpersing/social media extortion
http://hireanhacker.com/
Ransomware as a service
“Philadelphia” – 389 dollar
Onbeperkte licentie
Promotie via YouTube
Ransomware-personalisatie
Stampado – 39 dollar
Simpele variant
Diverse betaalmodellen
Frozr Locker – 220 dollar
250 file extensions
Online support desk
Cybersecurity en building automation systems
Mogelijke aanvallen op building automation systems:
Energy-demand shock
Het uitschakelen van de verwarming of koeling
Wijziging van beschermingsinstellingen en limieten (bij bv ketelhuizen)
Pompen en andere aandrijvingen in storingsmodus zetten
Data diefstal
Het uitzetten van alarmen of genereren van valse alarmen
Het inzetten van apparaten in een zombie netwerk
Veel Building Automation Systems zijn niet ontwikkeld met security-in-mind
CLASSIFICATIETITEL VAN DE PRESENTATIE24
Cybersecurity beeld Nederland
Recent uitgekomen beeld 2018:
Sabotage en verstoring door staten grootste dreiging nationale
veiligheid.
Aanvallers blijven succesvol door ontbreken basismaatregelen.
Blijvend functioneren samenleving en economie afhankelijk van
cybersecurity.
Digitale dreiging is permanent
Risico via toeleveranciers is aanwezig
CLASSIFICATIETITEL VAN DE PRESENTATIE25
Realiteit? Het gebeurt nú!
2012 : Target Hack
2013 : Google Wharf Australie gehackt
2016 : Lappeenranta DDOS attack
2016 – 2017: 4x hack op Seehotel Oostenrijk
2017 : >70% van alle CCTV in Washington DC gehackt
2018 : Camera’s sportschool Brabant gehackt
2018 : AIVD hackt ‘CozyBear’ hackers door CCTV
CLASSIFICATIETITEL VAN DE PRESENTATIE26
Lappeenranta hack
Lappeenranta heeft 60.000 inwoners, ligt in Oost-Finland
Valtia is een service provider bedrijf, verantwoordelijk voor de centrale
verwarming en het warm-water-systeem in deze regio.
De systemen van Valtia werden bestookt met een DDOS aanval.
Twee appartementencomplexen zonder verwarming en warm water, in de
winter.
Bij opnieuw opstarten kwam het systeem vast in een loophole, waardoor
het hitte afgifte systeem niet meer werkte.
Systemen herstart, DDOS gerouteerd… probleem opgelost.
CLASSIFICATIETITEL VAN DE PRESENTATIE27
Wat is het cybersecurity landschap?
Kwaadwillende
Cybersecurity bedrijven
Overheid
Universiteiten en onderzoeksinstellingen
Afnemers
In deze: BMS/BAS vendoren
Nauwelijks onderzoek naar building automation security… investeringen
vanuit Min.EZ en RVO naar Building Automation Security (BrAIN). Enige focus
vanuit overheid, universiteiten en onderzoeksinstellingen naar SCADA.
CLASSIFICATIETITEL VAN DE PRESENTATIE28
Cybersecurity organisaties…
CLASSIFICATIETITEL VAN DE PRESENTATIE29
Installateurs…
CLASSIFICATIETITEL VAN DE PRESENTATIE30
Enorme diversiteit in bedrijven, grootte en aantal werknemers…
“Building automation systems en cybersecurity, moeten we ons zorgen maken?”
Half, we hebben een gezamenlijke uitdaging.
En er is nog een wereld te winnen voor wat betreft awareness.
Waar te beginnen?
Zorg voor digitaal bewustzijn;
Ontwikkel een architectuur met security-in-mind, zowel met de IT
componenten als met de BAS en identificeer risico’s;
Definieer een baseline, detecteer afwijkingen en blijf elke opzet testen.
Toekomst? Security als basis.
Een keurmerk voor installateurs, met trainingen, certificeringen en audits. 31
Vragen of informatie?
Suzanne Rijnbergen : suzanne.rijnbergen@kpn.com
CLASSIFICATIETITEL VAN DE PRESENTATIE32